Scan gratuit
Ce que votre site montre à un attaquant.
Certificat, technologie et version, en-têtes de sécurité, fichiers exposés : le scan regarde votre site depuis l’extérieur et vous rend un score sur 100. Sans inscription, en quelques secondes.
Sans inscription · ni e-mail ni résultat enregistré tant que vous ne demandez pas le rapport
Ce que vérifie le scan
6 contrôles, 100 points.
Le score se calcule sur ce que le serveur répond à un visiteur ordinaire. Chaque contrôle a un poids fixe, le même pour tous les sites.
| Contrôle | Ce qui est regardé | Points |
|---|---|---|
| Certificat HTTPS | Une connexion TLS au port 443 : le certificat est-il valide, pour quel nom, émis par qui, et dans combien de jours expire-t-il ? À moins de 30 jours de l’échéance, le score baisse ; à moins de 15, c’est un renouvellement urgent. | 20 |
| CMS et version | La page d’accueil est lue une fois : balise generator, cookies et traces connues de WordPress, PrestaShop, Joomla et Drupal. Quand la version est publique, elle est comparée à une table de dernières versions tenue à la main — elle peut avoir un temps de retard. Une version masquée coûte deux points ; une empreinte entièrement masquée n’en coûte aucun. | 20 |
| En-têtes de sécurité | Cinq en-têtes de la même réponse : Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options et Referrer-Policy. Les points sont au prorata de ceux qui sont présents. | 20 |
| Fichiers sensibles exposés | Deux adresses qui ne devraient jamais répondre : /.env (les secrets de l’application) et /.git/config (l’historique du code). Le contenu reçu est vérifié avant de conclure, pour ne pas confondre une vraie fuite avec une page d’erreur. | 20 |
| Redirection vers HTTPS | La version http:// du site renvoie-t-elle vers https:// ? Un site qui répond en clair sans rediriger laisse passer des visites non chiffrées. | 10 |
| Disponibilité et temps de réponse | Le temps mis par le serveur à répondre à la page d’accueil, sur cette mesure-là. Une seule mesure ne fait pas une supervision : elle dit si le site répond, pas s’il répondra cette nuit. | 10 |
Exemple de rapport
Ce que vous obtenez, en une minute.
Le rapport d’un site fictif, tel que l’outil l’affiche : le score, chaque contrôle avec sa valeur, et ce qu’un scan externe ne peut pas voir.
boutique-exemple.fr1 octobre 2026 à 07:30Scan externe, niveau surface
2 points d’attention détectés depuis l’extérieur.
Ce que le scan externe peut voir
- Certificat SSLValide 74 j · boutique-exemple.fr · émetteur Let’s Encrypt.
- Version WordPressWordPress 6.9 → 7.1 disponible.
- En-têtes de sécurité2 manquant(s) : CSP, Referrer-Policy.
- Exposition de fichiers sensiblesAucun fichier sensible exposé (.env, .git/config).
- Redirection HTTPShttp:// redirige bien vers https://.
- Temps de réponse / disponibilitéDisponible · 420 ms.
Ce qu’un scan externe ne peut pas voir
- Vulnérabilités des extensions et thèmesInventaire relevé sur le site, croisé avec les avis publiés (WPScan).mesuré avec l’agent
- Intégrité des fichiers du cœurComparaison aux empreintes officielles de WordPress.mesuré avec l’agent
- Comptes d’administrationComptes à privilèges et sécurité de la connexion.mesuré avec l’agent
- Fichiers suspectsRecherche, sur le serveur, de fichiers qui n’ont rien à faire là.mesuré avec l’agent
- Permissions et configurationDroits des fichiers, mode debug, fichiers sensibles laissés accessibles.mesuré avec l’agent
Ce scan ne montre que la surface.
Installez le plugin Sentinelo sur votre site WordPress pour mesurer ce que ce scan ne voit pas : vulnérabilités connues, fichiers suspects, permissions et configuration. 14 jours gratuits, sans carte bancaire.
Données en EuropeConforme RGPDSans engagement
La limite d’un scan externe
Ce qu’il ne peut pas voir.
Depuis l’extérieur, on voit un certificat, des en-têtes, une version de CMS quand elle s’affiche. On ne voit ni la liste des extensions installées, ni les fichiers du serveur, ni les comptes d’administration. Or c’est là que se trouvent la plupart des failles exploitées.
Ces mesures demandent un agent installé sur le site : une extension pour WordPress, un module pour PrestaShop. Le scan gratuit ne remplace pas cette analyse : il dit seulement si la porte d’entrée est en ordre.
Extensions et modules vulnérables
L’inventaire est relevé sur le site, puis croisé avec les avis de sécurité publiés.
Intégrité des fichiers
Comparaison des fichiers du cœur aux empreintes officielles de l’éditeur.
Comptes d’administration
Comptes à privilèges, anciens comptes oubliés, sécurité de la connexion.
Fichiers suspects
Recherche, sur le serveur, de fichiers qui n’ont rien à faire là.
Pour les agences web
Scanner un parc, pas un site.
Le mode « Un parc entier » accepte une adresse par ligne et les analyse à la suite, dans la limite de 5 scans par heure depuis une même connexion. Un site injoignable n’arrête pas le lot : il est signalé, et les résultats obtenus restent affichés.
C’est un premier état des lieux avant de reprendre un parc, ou une façon d’ouvrir la conversation avec un client. Pour une surveillance continue — un scan complet chaque semaine, les alertes, un rapport mensuel à votre marque —, c’est la plateforme.
Ce que le scan fait sur le site scanné
- Une connexion TLS pour lire le certificat.
- Une requête sur la page d’accueil : en-têtes, CMS, temps de réponse.
- Une requête en http:// pour la redirection vers HTTPS.
- Deux requêtes sur /.env et /.git/config, sans suivre de redirection.
Au plus 15 secondes en tout. Identifiant dans vos journaux : SentineloScan/1.0 (+https://sentinelo.fr/scan)
Bon à savoir
Le scan gratuit, en questions.
Le scan de site est-il vraiment gratuit ?
Oui, et sans inscription : le score et le détail des contrôles s’affichent à l’écran. Une adresse e-mail n’est demandée que si vous voulez recevoir le rapport, et elle n’est enregistrée qu’à ce moment-là.
Le scan peut-il ralentir ou abîmer mon site ?
Non. Il envoie une poignée de requêtes en lecture — une connexion TLS, la page d’accueil, sa version http:// et deux adresses de fichiers sensibles —, sans formulaire, sans connexion et sans exploration des pages. L’ensemble est borné à 15 secondes et s’annonce sous le nom « SentineloScan/1.0 (+https://sentinelo.fr/scan) » dans vos journaux.
Pourquoi mon site obtient-il un bon score alors qu’il a une faille ?
Parce qu’un scan externe ne voit que ce que le serveur montre à n’importe quel visiteur. Une extension vulnérable, un fichier du cœur modifié ou un compte administrateur oublié ne se voient pas de l’extérieur : il faut un agent installé sur le site pour les mesurer. Le rapport le dit sous le score, et c’est volontaire.
Mon CMS n’est pas détecté : est-ce un problème ?
Pas forcément. Beaucoup de sites masquent leur empreinte, et c’est une bonne pratique : le scan ne la pénalise pas. Il reconnaît WordPress, PrestaShop, Joomla et Drupal quand ils se signalent ; une application Symfony ou Laravel apparaît comme une pile applicative sans version.
Combien de sites puis-je scanner ?
5 par heure depuis une même connexion. Un site déjà scanné dans l’heure ne compte pas une seconde fois : le résultat est servi depuis le cache. Au-delà, l’outil indique quand un nouveau lot sera possible.
Que devient l’adresse du site que je scanne ?
Le résultat est gardé en cache une heure, pour ne pas analyser deux fois le même site. Le journal technique du serveur note l’adresse scannée, le score et votre adresse IP tronquée. Rien n’est rattaché à votre identité tant que vous ne demandez pas le rapport par e-mail ; le détail est dans la politique de confidentialité.
Passer de la surface au site entier.
L’agent mesure ce que le scan ne voit pas, chaque semaine, et vous prévient. Essai de 14 jours, sans carte bancaire.